Research / Paper Files
Paper Files
Paper Files は、学習ツールとして scientific method を適用する、cybersecurity における継続学習の個人的実践です。各記事は学術出版のためではなく、斧を研ぐための意図的な訓練として書かれています。特定トピックへの知識を深め、考えを厳密に整理し、特定の विषयへの理解が時間とともにどう発展するかを観察するためです。これは訓練日誌に相当する知的活動であり、各エントリには何を学び、どのように分析し、どのような結論に至ったかが記録されます。
私は、セキュリティ専門家がこの方法を採用することを強く推奨します。習得したいトピックを一つ選び、一次資料 (RFCs、papers、公式ドキュメント) を調査し、文章を序論、方法論、分析、結論で構成し、同僚に説明するつもりで書いてください。書くという行為は思考の明確さを強制し、受動的な読書では見えない理解の穴をあぶり出します。このサイトの記事を形式と深さの例として活用し、自分自身のコレクションを構築してください。時間が経てば、どのコースや certification でも置き換えられない、洗練された知識の個人リポジトリが手に入ります。
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →189 papers
マルチレイヤ時間相関と堅牢な統計学習に基づく脅威のプロアクティブ検知のための形式的かつスケーラブルなアーキテクチャ
TITLE: マルチレイヤ時間相関と堅牢な統計学習に基づく脅威のプロアクティブ検知のための形式的かつスケーラブルなアーキテクチャ ABSTRACT: 複数段階にわたる攻撃キャンペーンは、ステルス性の高い横方向移動やゼロデイ脆弱性の悪用を特徴とし、その高度化は、シグネチャや静的ルールに基づく従来の検知機構に対して重大な課題を突き付けている。本研究では、マルチレイヤ時間相関とイベント指向の堅牢な統計モデリングを統合した、脅威のプロアクティブ検知のための形式的アーキテクチャを提案する。本手法は、因果依存グラフ、行動埋め込み、ベイズ推論を組み合わせ、ノイズや敵対的回避下であっても、MITRE ATT&CK の技法に関連する攻撃チェーンを識別する。さらに、問題を動的グラフ $G_t = (V_t, E_t)$ 上の推論タスクとして定式化し、検知が構造制約下での尤度最大化としてモデル化可能であることを示す。12ノードクラスタ上で1秒あたり180万イベントを処理可能な分散プロトタイプを実装した。DARPA TC、UNSW-NB15、および42億イベントからなる実環境の企業トレースを用いてシステムを評価した。従来のSIEMおよび純粋なLSTMモデルと比較して、本ソリューションは偽陽性率を37.4%削減し、平均F1スコアを0.81から0.92に向上させ、横方向移動を平均4.3秒の遅延で検知した。さらに、T1027およびT1070の戦術に関連する難読化技術に対しても堅牢性を示した。これらの結果は、大規模環境における高度持続的脅威に対処するためには、厳密な数学的形式化と分散システム工学の組み合わせが不可欠であることを示している。
Read paper →Researchタイトル: テレメトリ多層化と時間相関に基づくハイブリッドアーキテクチャによる企業環境における高度持続的脅威のプロアクティブ検知
タイトル: テレメトリ多層化と時間相関に基づくハイブリッドアーキテクチャによる企業環境における高度持続的脅威のプロアクティブ検知 要旨: 高度持続的脅威（APT）の検知は、サイバーセキュリティにおける最も困難な運用上の課題の一つであり、とりわけオンプレミスのインフラ、クラウド上のワークロード、分散したエンドポイントを組み合わせたハイブリッドな企業環境ではなおさらである。MandiantおよびVerizonの最新レポートは、熟練した攻撃者の平均潜伏時間（dwell time）が成熟した環境においても依然として16日を超え、可視性の低い組織では200日を超える場合があることを示している。本研究は、ネットワークログ（Suricata）、エンドポイント・テレメトリ（Sysmon）、揮発性メモリ（Volatility）、行動ルール（Sigma）、およびカスタム署名（YARA）を統合し、重み付き有向時間グラフの形式モデルによって結合された、多層テレメトリと確率的時間相関に基づくAPTのプロアクティブ検知のためのハイブリッドアーキテクチャを提案する。我々の手法は、MITRE ATT&CKフレームワークに整合したTTPの時間的中心性および連鎖に基づくリスクスコアリング機構を導入し、動的グラフにおけるクリティカルパス検知問題としてモデル化する。提案手法を、12の実際の攻撃シナリオ（APT29、FIN7のエミュレーション、およびCVE-2021-44228（Log4Shell）の悪用を含む）を含む実験環境で評価し、60日間に収集した総計4.3 TBのテレメトリを対象とした。結果は、94.7%の検知率（TPR）と3.2%の偽陽性率（FPR）を示し、ルールのみに基づく手法（TPR 71.4%）および独立した機械学習モデル（TPR 88.1%）を上回った。平均検知時間は11.2日から36時間へと短縮された。主な貢献は、TTP指向の時間相関の数学的定式化と、現実的な運用環境における実践的検証にある。我々は、異種テレメトリと時間モデリングを構造的に統合することで防御能力が大幅に向上し、SOC（Security Operations Centers）および脅威ハンティングチームに対して直接的な実務上の示唆を提供することを示した。
Read paper →ResearchMITRE ATT&CK指向の相関と多層テレメトリに基づくスケーラブルなハイブリッド検知・脅威ハンティング・アーキテクチャ
MITRE ATT&CK指向の相関と多層テレメトリに基づくスケーラブルなハイブリッド検知・脅威ハンティング・アーキテクチャ 要旨: クラウドコンピューティング、ハイブリッドアーキテクチャ、マイクロサービス、およびAPI経由の統合の採用に牽引された企業向けデジタル環境の急速な拡大は、情報セキュリティの状況を根本的に変化させた。現代のアタックサーフェスは高度に分散化され動的であり、これにより、シグネチャのみに基づく従来のメカニズムによる侵入の早期検知は困難になっている。現代の攻撃はしばしば、戦術、技術、および手順（TTPs）の複雑な連鎖に従い、それらはエンドポイント、ネットワーク、ID、およびクラウドサービスを含む複数のインフラ層にまたがって分散していることが多い。この文脈において、静的ルールに基づくSIEMや文脈相関を欠くEDRソリューションのような、孤立した検知アプローチは
Read paper →Researchタイトル: MITRE ATT&CKに基づく多層テレメトリと相関を志向した脅威検出・脅威ハンティングのためのスケーラブルなハイブリッドアーキテクチャ
タイトル: MITRE ATT&CKに基づく多層テレメトリと相関を志向した脅威検出・脅威ハンティングのためのスケーラブルなハイブリッドアーキテクチャ 要旨: クラウドコンピューティング、ハイブリッドアーキテクチャ、マイクロサービス、およびAPI経由の統合の採用によって推進される、企業のデジタル環境の急速な拡大は、情報セキュリティの状況を大きく変容させた。現代の攻撃対象領域は高度に分散し動的であり、そのため、シグネチャのみに依存する従来のメカニズムによる侵入の早期検出は困難になっている。現代の攻撃はしばしば、戦術、技術、および手順（TTPs）の複雑な連鎖に従い、多くの場合、エンドポイント、ネットワーク、ID、およびクラウドサービスを含む複数のインフラ層に分散している。この文脈において、静的ルールに基づくSIEMや、文脈的相関を欠くEDRソリューションのような個別の検出アプローチは、世に出てきている。
Read paper →Researchエンタープライズ環境における高度な脅威の緩和のための、多層相関および統計学習に基づくハイブリッド検知・対応アーキテクチャ
TITLE: エンタープライズ環境における高度な脅威の緩和のための、多層相関および統計学習に基づくハイブリッド検知・対応アーキテクチャ ABSTRACT: 標的型侵入キャンペーンの高度化、特に人間が操るランサムウェア攻撃、ゼロデイ脆弱性の悪用、そしてステルス性の高いラテラルムーブメントは、シグネチャや静的ルールのみに依存する従来型の検知アーキテクチャに対して重大な課題を突きつけている。最近のインシデントでは、CVE-2021-44228（Log4Shell）、CVE-2023-34362（MOVEit Transfer）といった脆弱性の悪用や、MITRE ATT&CK の T1059（Command and Scripting Interpreter）および T1021（Remote Services）といった技術が示すように、適応的かつ多層的な機構の必要性が明らかになっている。本研究では、ルールベースの決定論的相関（Sigma、Suricata、YARA）、統計的行動分析、ならびに攻撃チェーンの形式的モデリングを統合し、企業SOCにおける運用を主眼としたハイブリッド・アーキテクチャを提案する。我々の方法論は、セキュリティイベントを表現するための重み付き有向グラフの数学モデルと、侵害の事後確率 P(C|E_{1..n}) を推定する増分ベイズスコアリング機構を組み合わせる。Elastic Stack、Suricata、Wazuh、Volatility、およびPythonで実装したカスタムモジュールを用いてプロトタイプを構築し、12 TBの実運用ログと公開データセット（CIC-IDS2017、UNSW-NB15）を用いた制御環境で評価を行った。その結果、従来のルールベースSIEMと比較して偽陽性率が38.7%減少し、ラテラルムーブメントの検知率が24.3%向上し、平均検知時間（MTTD）が47分から18分へ短縮された。さらに、Cobalt Strike と Mimikatz を用いたランサムウェア攻撃シミュレーションを含むケーススタディにより、多層相関が暗号化前のパターンを平均11分前に特定できることを示した。貢献は以下の通りである：(i) 適応的相関の数学的形式化、(ii) 複雑性解析を伴うアラート優先度付けの増分アルゴリズム、(iii) 運用メトリクスによる実証的検証。本研究は、Blue Team および次世代SOCアーキテクチャ設計に対して直接的な実務的含意を提供する。
Read paper →Cryptoタイトル: 高度な脅威に対するレジリエントな暗号アーキテクチャ: 企業インフラにおけるCrypto-Agile制御の形式化、実装、および運用評価
タイトル: 高度な脅威に対するレジリエントな暗号アーキテクチャ: 企業インフラにおけるCrypto-Agile制御の形式化、実装、および運用評価 要旨: 現代の企業インフラにおいて暗号メカニズムへの依存が増大したことで、暗号技術はデジタル・トラストの主要な基盤となった。しかし、暗号ライブラリの悪用を伴う近時のインシデント（例: OpenSSL における CVE-2022-0778）、プロトコルに対する攻撃（例: TLS に対する downgrade attacks）、および ransomware による暗号の運用上の悪用（MITRE ATT&CK T1486）は、暗号理論と実装実務の間に存在するギャップを明らかにしている。本研究は、能動的脅威下にある企業環境における暗号資産のガバナンス、検知、およびレジリエンスの問題を体系的に検討する。私たちは、深層防御を志向した crypto-agile アーキテクチャを提案し、暗号資産の自動発見、パラメータの形式的検証、ネットワーク上の暗号異常検知、およびインシデントへの自動対応を統合する。 本手法は、セキュリティ特性（機密性、完全性、forward secrecy）の形式解析、Suricata および Zeek によるトラフィック計測、OpenSSL および CFSSL による証明書検証、Volatility によるメモリ解析、そして Sigma と Elastic Stack によるイベント相関を組み合わせる。私たちは二つの主要アルゴリズムを開発した。(i) Crypto Asset Discovery and Risk Scoring (CADRS) は、インベントリ作成とリスク優先順位付けのためのものであり、(ii) Crypto Misuse Anomaly Detection (CMAD) は、TLS セッションにおける異常パターンおよび暗号プリミティブの不正利用を識別するためのものである。 1,200 の資産と 18 TB の TLS トラフィックを有する環境で実施した実験評価により、不安全な設定の特定に要する平均時間が 63% 短縮され、ダウングレードに脆弱な TLS セッションの 94.7% を 3.1% の偽陽性率で検知できることが示された。提案アーキテクチャのネットワークスループットに対する平均オーバーヘッドは 4.8% 未満であった。実際の ransomware シナリオに基づくケーススタディでは、データの完全な exfiltration の前に、悪意ある暗号利用パターンを識別できることが実証された。 我々は、暗号の形式化、運用テレメトリ、および応答自動化の統合が、暗号攻撃面を縮小するうえで不可欠であると結論づける。本研究は、企業における暗号レジリエンスに対して実践的かつ測定可能なアプローチを提供し、セキュリティチーム、SOC、ならびにインフラ・アーキテクト向けの運用指針を提示する。
Read paper →Cryptoタイトル: 重要インフラ向けのレジリエントな暗号アーキテクチャ：形式モデリング、アクティブディフェンス、および高度な脅威に対する実証的評価
タイトル: 重要インフラ向けのレジリエントな暗号アーキテクチャ：形式モデリング、アクティブディフェンス、および高度な脅威に対する実証的評価 要旨: サイバー諜報キャンペーン、ランサムウェア、およびハイブリッド作戦の高度化は、企業システムおよび重要インフラにおける暗号実装の構造的脆弱性を露呈させてきた。TLS の誤設定、秘密鍵の侵害、脆弱な楕円曲線の不適切な使用、ならびに OpenSSL などのライブラリに対する攻撃（例: CVE-2014-0160 – Heartbleed）を含む事案は、暗号セキュリティがアルゴリズムの数学的堅牢性だけでなく、その実装、鍵管理、および運用統合に依存することを示している。本研究では、次の三つの柱に基づくレジリエントな暗号アーキテクチャを提案する。(i) MITRE ATT&CK に基づく現実的な能力を備えた敵対者の形式モデル化、(ii) 継続的な暗号学的検証を伴う鍵ローテーションと検証の自動オーケストレーション、(iii) ネットワーク・テレメトリおよび行動分析による暗号劣化のアクティブ監視である。我々は、HSM、カスタム provider を備えた OpenSSL 3.x、Suricata、Zeek、ならびに YARA と Sigma に基づく検知モジュールを統合した実験フレームワークを開発した。 本ソリューションを、分散された 120 ノードを備える制御環境で評価し、プロトコルのダウングレード（T1190）、暗号化チャネルを介したエクスフィルトレーション（T1041）、および暗号資材の侵害（T1552）といった攻撃をシミュレートした。その結果、暗号異常の平均検知時間（MTTD）が 73% 短縮され、無効または期限切れの証明書の使用試行の 92% が自動的に緩和された。ECDHE-RSA-AES256-GCM-SHA384 を用いた TLS ワークロードにおける平均性能オーバーヘッドは 4.8% 未満にとどまった。我々の貢献は以下のとおりである。(C1) 運用上の暗号劣化問題に関する数学的定式化、(C2) セキュリティ特性の継続的検証アルゴリズム、(C3) アーキテクチャの有効性に関する定量的な実証的証拠である。これらの結果は、運用上の暗号セキュリティには、形式理論、安全なエンジニアリング、ならびにテレメトリに基づくアクティブディフェンスの統合が必要であることを示している。
Read paper →Crypto分散インフラストラクチャのための適応的かつ検証可能な暗号アーキテクチャ：形式化、実装、および高度な脅威モデル下での実証的評価
TITLE: 分散インフラストラクチャのための適応的かつ検証可能な暗号アーキテクチャ：形式化、実装、および高度な脅威モデル下での実証的評価 ABSTRACT: クラウドサービス、ブロックチェーンネットワーク、サイバーフィジカルシステムを含む分散インフラストラクチャにおける暗号技術の大規模な導入は、実装、設定、および暗号構成の不備の悪用が比例して増大することを伴ってきた。証明書の不適切な検証、AEADプロトコルにおけるnonceの再利用、ならびに CVE-2022-0778（OpenSSL）のような脆弱性に関連する最近の事例は、形式的安全性と運用上の安全性との間のギャップを示している。本研究では、大規模な分散環境における体系的な障害を緩和することを目的とした、適応的かつ検証可能な暗号アーキテクチャ（ACAV）を提案する。我々のアプローチは、(i) 時相論理に基づく暗号特性の形式的検証、(ii) リスク指向の適応的鍵ローテーション、(iii) 異常検知を伴う暗号利用の継続的監視、を統合する。問題を、遅延およびスループットの制約の下で残留リスク R(t) を最小化する多目的最適化として定式化する。我々は、Kubernetes、OpenSSL 3.0、および FIPS 140-3 準拠の HSM モジュール上にプロトタイプを実装し、64ノードのクラスタで評価した。実験結果は、拡張 Dolev-Yao モデル下における鍵漏えいリスクの推定値が47.3%低減し、平均遅延オーバーヘッドは3.8%（±0.6%）、10,000同時接続を伴う TLS 1.3 ワークロードに対するスループットへの影響は2.1%未満であることを示した。静的な定期ローテーションポリシーと比較して、ACAV は暗号資材の不正再利用イベントを92%削減した。以上より、形式的検証、暗号テレメトリ、動的適応の体系的統合は、現代のインフラストラクチャにおける暗号耐性を強化するための実行可能かつスケーラブルな戦略であると結論づける。
Read paper →IRタイトル: ハイブリッド環境におけるIncident Responseのためのデータ駆動型アーキテクチャ: MITRE ATT&CKに基づく形式化、オートメーション、オーケストレーション
タイトル: ハイブリッド環境におけるIncident Responseのためのデータ駆動型アーキテクチャ: MITRE ATT&CKに基づく形式化、オートメーション、オーケストレーション 要旨: Incident Response（IR）は、標的型攻撃、ransomware-as-a-service、および国家主導のオペレーションの指数関数的増加を背景に、現代のサイバーセキュリティにおける重要な構成要素となっている。最新の報告によれば、EDRおよび高度なSIEMを導入していても、複雑な企業環境における攻撃者の平均滞留時間（dwell time）は依然として16日を超えている。本研究では、ハイブリッド環境（on-premiseおよびcloud）におけるIRのためのデータ駆動型アーキテクチャを提案し、形式的な脅威モデリング、MITRE ATT&CKに基づく相関分析、多層検知、SOARによるオートメーションを統合する。さらに、応答プロセスを、フォレンジックの正確性と事業継続性の制約下で、封じ込め時間と運用影響を最小化する多目的最適化問題として形式化する。 本手法は、構造化されたログ収集（Sysmon、CloudTrail、Zeek）、シグネチャベース検知（Suricata、YARA）、グラフに基づく行動分析、ならびにパラメータ化されたplaybookによる自動オーケストレーションを組み合わせる。主要なアルゴリズムとして、(i) 観測されたTTPsに条件付けられたBayesianスコアリングに基づくインシデントの適応的優先順位付け機構、(ii) 攻撃連鎖の再構築のための計算量 O(n log n) の時間的相関エンジン、の2つを実装した。評価は、120エンドポイント、15サーバー、AWSワークロードを備えた制御環境で、42の実シナリオ（T1059、T1027、T1486を含む）を模擬して行った。従来のSIEMベースラインと比較して、MTTRは平均37.4%短縮され、文脈化された検知率は28.6%向上し、標準偏差は4.1%未満であった。 結果は、脅威モデリング、豊富なテレメトリ、およびオーケストレーションされたオートメーションの形式的統合が、手作業の負担を大幅に削減し、運用上の意思決定の一貫性を向上させることを示している。結論として、本提案手法は、限られた資源と高い脅威変動性の下で運用するCSIRTおよびSOCチームに対して、再現可能なフレームワークを確立する。
Read paper →IRタイトル: 多層相関とレスポンスサイクルの数学的形式化に基づく、Incident Response (IR) の証拠主導型アーキテクチャ
タイトル: 多層相関とレスポンスサイクルの数学的形式化に基づく、Incident Response (IR) の証拠主導型アーキテクチャ 要旨: Incident Response (IR) は、人間が運用する ransomware、APT による諜報キャンペーン、CVE-2021-44228（Log4Shell）などの重大脆弱性の大規模悪用といった高度な攻撃の指数関数的増加を背景に、現代のサイバーセキュリティにおける戦略的柱の一つとなっている。NIST SP 800-61 や MITRE ATT&CK のようなフレームワークが定着しているにもかかわらず、IR の実運用には、マルチソース相関、アラート優先順位付け、そして時間的制約が極めて厳しい状況下での証拠保全において、なおギャップが存在する。本稿では、ネットワーク、エンドポイント、ID、揮発性メモリの多層相関に基づく証拠主導型 IR アーキテクチャを提案し、時間的イベントグラフ上の最適化問題として数学的に定式化する。我々の方法論は、自動収集（Suricata、Zeek、Sysmon）、ルールベース検知（Sigma、YARA）、メモリ解析（Volatility 3）、脅威インテリジェンスによるエンリッチメント（MISP）、および MITRE ATT&CK への明示的マッピングによる行動モデリングを統合する。 我々は、イベント $E = \{e_1, e_2, ..., e_n\}$ を時間的有向グラフ $G=(V, A, T)$ の頂点として表現する形式モデルを定義し、そこでは辺が因果関係または文脈的関係を示す。さらに、2つのアルゴリズムを提案する。(1) 加重時間相関（CTP: Correlação Temporal Ponderada）で、計算量は $O(n \log n)$、(2) ベイズ的インシデント優先順位付け（PBI: Priorização Bayesiana de Incidentes）で、逐次更新を用いて侵害の事後確率 $P(C|E)$ を推定する。12.4 TB の実ログと公開データセット（CIC-IDS2017 および DARPA TC）を用いた制御実験では、平均トリアージ時間（MTTT）を 37% 削減し、真陽性率（TPR）を 22% 向上させつつ、FPR を 4.8% 未満に維持した。 評価の結果、複数のフォレンジック層を形式的に統合することで、ATT&CK の T1059（Command and Scripting Interpreter）、T1027（Obfuscated Files）、T1003（Credential Dumping）に関連する偽陽性が大幅に減少することが示された。LockBit 3.0 ransomware を対象としたケーススタディでは、45 分未満での封じ込めという具体的な運用上の効果が確認された。以上より、数学的形式化と証拠主導の自動化を組み合わせることは、SOC および CSIRT チームの運用成熟度を大きく高め、dwell time の短縮と組織レジリエンスの向上に寄与すると結論づける。
Read paper →IR相関マルチレイヤーおよび応答サイクルの数学的形式化に基づくインシデントレスポンス（IR）のための証拠駆動アーキテクチャ
TITLE: 相関マルチレイヤーおよび応答サイクルの数学的形式化に基づくインシデントレスポンス（IR）のための証拠駆動アーキテクチャ ABSTRACT: インシデントレスポンス（IR）は、人間が操作するランサムウェア、APTによるスパイ活動キャンペーン、ならびに重要脆弱性の大規模悪用（例: CVE-2021-44228 – Log4Shell）といった高度な攻撃の指数関数的増加を背景に、現代のサイバーセキュリティにおける戦略的柱の一つとなっている。NIST SP 800-61やMITRE ATT&CKのようなフレームワークが確立されているにもかかわらず、IRの実運用には、複数ソース間の相関付け、アラートの優先順位付け、ならびに高い時間的圧力下での証拠保全において依然としてギャップが存在する。本論文は、マルチレイヤー相関（ネットワーク、エンドポイント、アイデンティティ、揮発性メモリ）に基づく証拠駆動型IRアーキテクチャを提案し、これを時系列イベントグラフ上の最適化問題として数学的に形式化する。我々の方法論は、自動収集（Suricata、Zeek、Sysmon）、ルールベース検知（Sigma、YARA）、メモリ解析（Volatility 3）、脅威インテリジェンスによるエンリッチメント（MISP）、およびMITRE ATT&CKへの明示的マッピングによる行動モデリングを統合する。 我々は、イベント $E = \{e_1, e_2, ..., e_n\}$ を有向時系列グラフ $G=(V, A, T)$ の頂点として表現する形式モデルを定義し、そこではエッジが因果関係または文脈的関係を示す。さらに、二つのアルゴリズムを提案する。(1) 重み付き時間相関（CTP）は計算量 $O(n \log n)$ を持つ。(2) ベイズ的インシデント優先順位付け（PBI）は、増分更新を用いて侵害事後確率 $P(C|E)$ を推定する。12.4 TBの実ログおよび公開データセット（CIC-IDS2017およびDARPA TC）を用いた制御実験では、平均トリアージ時間（MTTT）を37%削減し、真陽性率（TPR）を22%向上させつつ、FPRを4.8%未満に維持した。 評価により、複数のフォレンジック層の形式的統合は、ATT&CKのT1059（Command and Scripting Interpreter）、T1027（Obfuscated Files）、およびT1003（Credential Dumping）に関連する偽陽性を大幅に低減することが示された。LockBit 3.0ランサムウェアを含むケーススタディでは、45分未満で封じ込めを達成するという具体的な運用上の効果が確認された。結論として、数学的形式化と証拠駆動の自動化を組み合わせることは、SOCおよびCSIRTチームの運用成熟度における重要な進歩をもたらし、dwell timeの短縮と組織レジリエンスの向上に寄与する。
Read paper →IRMITRE ATT&CKベースのインシデントレスポンス（IR）のための証拠駆動アーキテクチャと形式モデリング：マルチレイヤテレメトリ、 автомат化オーケストレーション、およびスケーラブルなフォレンジック分析の統合
TITLE: MITRE ATT&CKベースのインシデントレスポンス（IR）のための証拠駆動アーキテクチャと形式モデリング：マルチレイヤテレメトリ、 автомат化オーケストレーション、およびスケーラブルなフォレンジック分析の統合 ABSTRACT: ランサムウェアキャンペーン、国家支援型のスパイ活動、サプライチェーン攻撃の高度化――たとえば SolarWinds（CVE-2020-10148）、ProxyLogon（CVE-2021-26855）、Log4Shell（CVE-2021-44228）――は、従来の Incident Response（IR）プロセスにおける構造的限界を露呈している。NIST SP 800-61r2 や MITRE ATT&CK のようなフレームワークが広く採用されているにもかかわらず、多くの組織は依然として静的なプレイブック、テレメトリ各層間の低い相関、ならびに意思決定プロセスの数学的形式化の欠如により運用している。本稿では、ネットワーク、エンドポイント、アイデンティティ、メモリを対象としたマルチモーダル収集を統合し、応答サイクルを不確実性下の最適化問題として形式モデリングし、SOAR に基づく自動オーケストレーションを実現する、IR 向けの証拠駆動アーキテクチャを提案する。 本手法は、(i) 検知および封じ込めを重み付き有向時間グラフとして表現する形式モデル、(ii) Mean Time to Detect（MTTD）および Mean Time to Respond（MTTR）を低減するためのベイズスコアリングに基づく優先順位付けアルゴリズム、(iii) Suricata、Zeek、Wazuh、Elastic SIEM、Sigma、YARA、Volatility といった実際のツールとの実践的統合、を組み合わせる。提案手法は、MITRE ATT&CK の戦術（TA0001–TA0009）にマッピングされた 420 件の対抗シナリオ実行を伴う制御ラボ環境で評価し、T1059（Command and Scripting Interpreter）、T1003（Credential Dumping）、T1486（Data Encrypted for Impact）などの技術を含めた。 結果は、MTTR の平均 37.4% 削減（9時間12分から5時間45分へ）、早期検知率の 22.8% 向上、ならびに静的相関のみに基づく従来型 SIEM パイプラインと比較した場合の偽陽性の 31% 減少を示した。提案アーキテクチャは、分散環境において平均遅延 480 ms 未満で、秒間 25,000 イベントまで線形にスケーリング可能であった。 以上より、適切な運用計測と証拠ベースの自動化を組み合わせた IR プロセスの数学的形式化は、効率性と精度の両面で測定可能な向上をもたらすと結論づける。本研究は、中規模から大規模の SOC に適用可能な理論的・運用的貢献を提供し、企業および政府環境に対して再現可能なモデルを提案する。
Read paper →IRIR-GraphSec: グラフ駆動および脅威インテリジェンスに基づくインシデント対応のための形式的かつスケーラブルなフレームワーク
TITLE: IR-GraphSec: グラフ駆動および脅威インテリジェンスに基づくインシデント対応のための形式的かつスケーラブルなフレームワーク ABSTRACT: 侵入キャンペーンの高度化は、ステルス性の高いラテラルムーブメント、認証情報の悪用、ならびに多段階の永続化によって特徴づけられ、インシデント対応（Incident Response – IR）チームに重大な課題を突き付けている。従来のアプローチは、静的なプレイブックと手作業によるログ分析に強く依存しており、分散型かつ大規模な環境では限界を示す。本研究では、時間的グラフモデリングと脅威インテリジェンスによる継続的な強化に基づく、インシデント対応のオーケストレーションのための形式的かつスケーラブルなフレームワーク IR-GraphSec を提案する。セキュリティイベントを有向時間グラフ G = (V, E, τ) としてモデル化し、頂点はエンティティ（ホスト、ユーザ、プロセス、アーティファクト）を、辺は観測された相互作用を表す。さらに、リスクで重み付けされた中心性指標と、計算量 O(|E|\log|V|) の封じ込め優先順位付けアルゴリズムを導入する。 我々は、Apache Kafka、Neo4j、および Apache Flink 上のインクリメンタル処理機構を用いて分散プロトタイプを実装した。DARPA Transparent Computing、23億イベントを含む匿名化された企業ログ、ならびに MITRE ATT&CK に基づく合成シナリオという実データセットを用いてシステムを評価した。ルール相関ベースのアプローチ（従来型 SIEM）および決定論的プレイブックと比較して、IR-GraphSec は平均封じ込め時間（MTTC）を 37.4% 短縮し、偽陽性を 28.1% 削減し、AUC-ROC において平均 0.19 の向上を伴って重要資産の優先順位付けを改善した。 我々の結果は、文脈化された脅威インテリジェンス（STIX/TAXII）と組み合わせることで、インシデント対応を時間的グラフにおける最適化問題として数学的に形式化することが、より迅速で、より正確かつ適応的な対応を可能にすることを示している。本研究は、(i) IR 問題の多目的最適化としての形式的モデリング、(ii) リスク中心性に基づく優先順位付けアルゴリズム、(iii) 大規模環境における広範な実証評価、を提供する。
Read paper →ContainersCONTAINERSHIELD: テレメトリ多層に基づくコンテナ環境における脅威の検出および緩和のための形式的・実証的フレームワーク
TITLE: CONTAINERSHIELD: テレメトリ多層に基づくコンテナ環境における脅威の検出および緩和のための形式的・実証的フレームワーク ABSTRACT: Docker や Kubernetes のようなプラットフォームに牽引されたコンテナの大規模な採用は、分散システムのアーキテクチャを変革した一方で、複雑かつ高度に動的な攻撃対象領域をもたらした。イメージの脆弱性、namespace および kernel capabilities の不適切な設定、さらには escape 攻撃や lateral movement は、近年の CVE（例: CVE-2019-5736, CVE-2022-0492）にも示されているように、体系的に悪用されてきた。本研究では、kernel、runtime、orchestrator の多層テレメトリの相関に基づく、コンテナ環境における脅威の検出および緩和のための形式的・実証的フレームワークである CONTAINERSHIELD を提案する。われわれは環境をラベル付き遷移システムとして形式的にモデル化し、分離性、完全性、および capabilities の封じ込めの観点で表現されるセキュリティ特性を定義した。さらに、2つの中核アルゴリズムを開発した。(i) 可変次数の Markov chain による行動の確率的モデリングに基づく検出機構、および (ii) Linux capabilities と seccomp profiles に対する動的制約を適用するポリシー検証モジュールである。システムは eBPF を用いて Kubernetes 1.28 上に実装し、48ノード（768 vCPU）のクラスタで評価した。実環境のワークロードと MITRE ATT&CK for Containers にマッピングされた27の攻撃シナリオを用いた結果、検出率 96.4%（±1.8%）、偽陽性率 2.1%、CPU 平均オーバーヘッド 3.7% を達成した。標準設定における Falco や Aqua Security などのツールと比較して、本手法は偽陽性を 38% 削減し、平均検出時間を 24% 改善した。われわれは、脅威モデリングとリアルタイムテレメトリの形式的統合が、より堅牢な運用セキュリティ保証を提供することを示した。CONTAINERSHIELD は、コンテナセキュリティの厳密な体系化に貢献し、クラウドネイティブ環境における保護のためのスケーラブルかつ検証可能な道筋を提供する。
Read paper →ContainersDockerおよびKubernetesベースのコンテナ環境における脅威検知と対応のための形式的アーキテクチャおよび運用方法論
TITLE: DockerおよびKubernetesベースのコンテナ環境における脅威検知と対応のための形式的アーキテクチャおよび運用方法論 ABSTRACT: コンテナの大規模な採用は、現代のインフラストラクチャの攻撃対象領域を変容させ、とりわけDockerおよびKubernetesベースの環境において顕著である。コンテナはLinuxカーネルのnamespacesおよびcgroupsを通じて軽量な分離を提供する一方で、CVE-2019-5736（runc）に関連するコンテナエスケープや、露出したKubernetes APIを悪用するcryptojackingキャンペーンを含む複数の最近のインシデントは、これらの環境のセキュリティが依然として十分に理解されておらず、運用面でも十分に確立されていないことを示している。本研究では、形式的な脅威モデリング、eBPFベースの計測、MITRE ATT&CKに基づく行動分析、ならびに自動化されたレスポンスを統合した、コンテナ環境における脅威検知と対応のための形式的アーキテクチャおよび運用方法論を提案する。 我々の方法論は3層から構成される。(i) エンティティとフローの有向グラフとしてのコンテナシステムの形式的モデリング、(ii) ルールベース（Sigma/YARA）と統計学習による異常検知を組み合わせたハイブリッド検知、(iii) Kubernetes Admission ControllersおよびOPA/Gatekeeperポリシーを介した自動化レスポンスのオーケストレーションである。我々は、48ノードのKubernetesクラスタ上で本手法を評価し、合成負荷下で稼働する1,200個のpodと、文書化されたTTPs（T1610、T1611、T1525）に基づいて再現した実攻撃を対象とした。結果は、平均検知率96.4%、偽陽性率3.1%、平均検知遅延420 ms、CPUオーバーヘッド4.8%未満を示した。 我々の貢献は以下の3点である。(C1) コンテナセキュリティ問題に対する数学的形式化、(C2) 広く採用されているツール（Falco、Suricata、Trivy、kube-bench、Volatility）を統合した再現可能な運用パイプライン、(C3) 現実的なスケールにおける有効性と性能を示す定量的な実証的証拠である。我々は、カーネル計測、オーケストレータのテレメトリ、および脅威インテリジェンスの一貫した統合が、平均検知時間（MTTD）および平均応答時間（MTTR）を大幅に削減し、攻撃的・防御的セキュリティチームの双方に対して実践的な指針を確立することを示す。
Read paper →Containersタイトル: マルチレイヤ・テレメトリに基づくコンテナ環境における侵害の検出および封じ込めのための形式的に基礎づけられたアーキテクチャ
タイトル: マルチレイヤ・テレメトリに基づくコンテナ環境における侵害の検出および封じ込めのための形式的に基礎づけられたアーキテクチャ 要旨: コンテナの、クラウドネイティブ環境におけるパッケージングおよびデプロイの一次単位としての大規模な採用は、従来の仮想マシンで観測されるものとは実質的に異なる攻撃面を導入した。ベースイメージの脆弱性、不適切な namespace 設定、cgroups の隔離不備、ならびに runc（例: CVE-2019-5736）のような runtime の悪用は、攻撃者によって積極的に利用されてきた。本研究では、kernel、runtime、オーケストレータという複数層のテレメトリを相関させることに基づき、コンテナ環境における侵害の検出および封じ込めのための形式的に基礎づけられたアーキテクチャを提案する。我々の方法論は、確率的行動モデリング、プロセス依存グラフ解析、および適応的隔離ポリシーを統合する。 我々は、システムを有向ラベル付きグラフ G = (V, E, λ) として表現するコンテナ化システムの形式モデルを開発した。このモデルにおいて、頂点は実行エンティティを表し、辺は観測可能な相互作用を符号化する。さらに、隔離不変条件および情報フローに基づくセキュリティ特性を定義し、2つの主要アルゴリズムを提案する。(i) 適応的しきい値を用いた多変量統計的逸脱に基づく検出、(ii) アクセス制御およびネットワークポリシーの動的再構成による自動封じ込め機構。 我々は、eBPF を用いた kernel 計測および Open Policy Agent (OPA) による enforcement を利用して、Kubernetes 1.29 上に機能するプロトタイプを実装した。48ノードのクラスタ（Intel Xeon Gold、256 GB RAM）上で、1,200個のコンテナと17の代表的攻撃シナリオ（MITRE ATT&CK for Containers）を用いてシステムを評価した。その結果、平均検出率 96.8%（±1.7%）、偽陽性率 2.3%、CPU オーバーヘッド 4.9% 未満を達成した。シグネチャベースまたは静的ポリシーのみに基づくソリューションと比較して、本手法は平均封じ込め時間を 63% 短縮した。 以上の結果は、マルチレイヤ・テレメトリと形式モデリングおよび自動封じ込めの統合が、大規模なコンテナ化環境のセキュリティに対する重要な進展をもたらすことを示している。
Read paper →Containersタイトル: クラウドネイティブ環境におけるコンテナセキュリティのための形式モデリングと適応型監視アーキテクチャ
タイトル: クラウドネイティブ環境におけるコンテナセキュリティのための形式モデリングと適応型監視アーキテクチャ 要旨: Docker や Kubernetes のようなコンテナおよびオーケストレータの大規模な採用は、ソフトウェア工学と重要インフラの運用を変革した一方で、拡大し動的に変化する攻撃対象領域をもたらした。CVE-2019-5736（runc）や CVE-2022-0492（cgroups）などの脆弱性は、名前空間および Linux カーネルの機構に基づく分離が、初期アクセスを得た攻撃者によって不適切に設定または悪用された場合に脆弱であることを示している。本研究では、コンテナ環境における適応型監視と脅威封じ込めのための、形式的に基礎づけられたアーキテクチャを提案する。これは、攻撃対象領域の数学的モデリング、システムコールグラフに基づく行動検知、ならびに緩和ポリシーの動的適用を組み合わせたものである。我々は MITRE ATT&CK for Containers に整合した脅威モデルを定義し、強固な分離、ランタイムの完全性、ワークロード間の非干渉といったセキュリティ特性を形式化した。さらに、主として二つのアルゴリズムを開発した。(i) 計算量 O(n log n) の、正当な行動プロファイルを増分的に推定する機構、(ii) ベイズスコアリングに基づくリスク分析を備えた適応型封じ込めモジュールである。我々は、eBPF、Falco、およびカスタム admission controller を用いて Kubernetes に統合したプロトタイプを実装した。120 ノード、3,500 pod のクラスタ上で、実際のワークロードと、MITRE ATT&CK の T1610、T1611、T1525 に対応付けられた攻撃の制御された注入を用いてソリューションを評価した。その結果、検知率 96.4%、平均偽陽性率 2.1%、CPU オーバーヘッド 4.8% 未満、監視イベントごとの平均追加遅延 3.7 ms を示した。以上より、提案手法は実運用可能性とスケーラビリティを維持しつつ、クラウドネイティブ環境における運用セキュリティの水準を大幅に向上させることが確認された。
Read paper →Containersクラウドネイティブ環境におけるコンテナセキュリティのための適応型監視の形式モデリングとアーキテクチャ
TITLE: クラウドネイティブ環境におけるコンテナセキュリティのための適応型監視の形式モデリングとアーキテクチャ ABSTRACT: DockerやKubernetesのようなコンテナおよびオーケストレータの大規模な採用は、ソフトウェア工学と重要インフラの運用を変革した一方で、拡大し動的な攻撃対象領域を導入した。CVE-2019-5736（runc）やCVE-2022-0492（cgroups）のような脆弱性は、名前空間に基づく分離とLinuxカーネルのメカニズムが、設定不備やコンテナへの初期アクセスを持つ攻撃者による悪用に対して脆弱であることを示している。本研究では、コンテナ環境における適応型監視および脅威封じ込めのための、形式的に基礎づけられたアーキテクチャを提案する。これは、攻撃対象領域の数学的モデリング、システムコールグラフに基づく行動検知、ならびに緩和ポリシーの動的適用を組み合わせたものである。MITRE ATT&CK for Containers に整合した脅威モデルを定義し、強固な分離、ランタイムの完全性、ワークロード間の非干渉といったセキュリティ特性を形式化した。さらに、主要な2つのアルゴリズムを開発した。すなわち、(i) 時間計算量 O(n log n) の正当な行動プロファイルの増分推論機構、(ii) ベイズスコアリングに基づくリスク分析を備えた適応型封じ込めモジュールである。eBPF、Falco、カスタマイズした admission controllers を用いて、Kubernetes に統合されたプロトタイプを実装した。120ノード、3,500 pods のクラスタ上で、実運用のワークロードと、MITRE ATT&CK の T1610、T1611、T1525 技術に対応付けた制御された攻撃注入を用いてソリューションを評価した。その結果、平均偽陽性率 2.1%、CPUオーバーヘッド 4.8% 未満、監視イベント1件あたり平均追加レイテンシ 3.7 ms で、検出率 96.4% を達成した。以上より、提案手法は、実用性とスケーラビリティを維持しつつ、クラウドネイティブ環境における運用セキュリティ水準を大幅に向上させることを示した。
Read paper →Cloudマルチクラウド環境における横展開の検出および緩和のための、強化テレメトリとゼロトラストの形式的モデリングに基づく暗号学的検証可能アーキテクチャ
マルチクラウド環境における横展開の検出および緩和のための、強化テレメトリとゼロトラストの形式的モデリングに基づく暗号学的検証可能アーキテクチャ マルチクラウドおよびハイブリッド環境の大規模な採用は、組織の攻撃対象領域を大幅に拡大させ、複雑な横展開ベクトル、IDの悪用、ならびに設定ミスの悪用を導入している。特権資格情報の侵害、管理APIの悪用、連携型IDサービスの不正利用を伴う最近のインシデントは、従来の監視および制御アプローチに構造的な限界があることを示している。本研究では、強化テレメトリ、ゼロトラストの形式的モデリング、およびポリシー整合性の継続的検証に基づく、マルチクラウド環境における横展開の検出および緩和のための暗号学的検証可能アーキテクチャを提案する。我々の方法論は、(i) マルチプロバイダログ（AWS、Azure、GCP）の正規化集約、(ii) ID-リソースの動的グラフ構築、(iii) ロバストな統計学習に基づく異常検知、(iv) インクリメンタル整合性証明を用いたポリシーの暗号学的アテステーション機構、を組み合わせる。1,200台の仮想マシン、4つのKubernetesクラスタ、3つのクラウドプロバイダを含む実験環境において、本手法を評価し、公開ベンチマーク由来の合成トレースと実データを用いた。結果は、従来のSIEMと比較して平均検出時間（MTTD）を37.4%短縮し、平均応答時間（MTTR）を42.1%短縮したことを示し、偽陽性率を3.2%未満（標準偏差0.6）に維持した。さらに、イベント相関機構の漸近計算量が$O(|E| \log |V|)$であることを示し、1日あたり$10^7$件を超えるイベントを持つ環境へのスケーラビリティを可能にする。提案手法は、クラウドにおける検証可能な監視のための形式的基盤を確立し、ID主導の安全なアーキテクチャの発展に寄与する。
Read paper →Cloudセマンティック解析と時間的相関に基づくマルチクラウド環境における不安全な設定の検出と緩和のための形式的に検証可能なアーキテクチャ
TITLE: セマンティック解析と時間的相関に基づくマルチクラウド環境における不安全な設定の検出と緩和のための形式的に検証可能なアーキテクチャ ABSTRACT: マルチクラウド基盤の大規模な採用は、分散システムの運用モデルを変革した一方で、攻撃対象領域とセキュリティガバナンスの複雑性を著しく拡大させた。近年のインシデントは、誤設定、露出した認証情報、過度に許容的なアクセス制御ポリシーが、クラウド環境における侵害の主要な侵入経路であることを示している。本研究では、ポリシーの意味論的解析、設定状態の数学的モデリング、および監査イベントの時間的相関を組み合わせることで、マルチクラウド環境における不安全な設定を自動的に検出・緩和するための形式的に検証可能なアーキテクチャを提案する。提案手法は、リソース間の依存関係を表現するためのラベル付き有向グラフに基づく形式モデル、モデル検査によるセキュリティ特性の検証機構、ならびに構造的中心性と悪用確率に基づくリスク優先順位付けアルゴリズムを統合している。我々は、AWS、Microsoft Azure、Google Cloud Platform に対応する実用プロトタイプを実装し、CloudTrail、Azure Activity Logs、Cloud Audit Logs といったネイティブな監査APIおよびログを利用した。3,200のリソースと180万件のログイベントを含む実験環境でシステムを評価し、商用の Cloud Security Posture Management（CSPM）ツールと比較した。その結果、偽陽性が37.4%減少し、重大な逸脱の検出速度が29.6%向上し、高影響リスクの優先順位付けが42.1%改善され、平均計算オーバーヘッドは8.3%未満であった。これにより、数学的形式化と時間的相関の導入が、解析精度および自動緩和能力を大幅に向上させることを示した。本研究は、大規模クラウド環境における体系的かつ検証可能なセキュリティ実践の確立に貢献する。
Read paper →Cloudタイトル: グラフ型特権モデルと確率解析に基づくマルチクラウド環境におけるラテラルムーブメントの検出および封じ込めのための適応アーキテクチャ
タイトル: グラフ型特権モデルと確率解析に基づくマルチクラウド環境におけるラテラルムーブメントの検出および封じ込めのための適応アーキテクチャ 要旨: クリティカルシステム向けの支配的インフラとしてマルチクラウド環境が定着したことにより、デジタルID、宣言的ポリシー、および連邦化された信頼関係に関連する攻撃面は大幅に拡大した。従来の境界型モデルとは対照的に、クラウドセキュリティは本質的にID中心であり、属性ベースアクセス制御に依拠しているため、認証情報の悪用に基づくラテラルムーブメントは最も重要な脅威の一つとなっている。脆弱なライブラリの悪用によるリモートコード実行と、それに続く認証情報の外部流出を含む広く文書化されたインシデントは、初期侵害が最終的な被害を意味することは稀であり、被害は敵対者が委任チェーンと過剰な特権を悪用できる能力から生じることを示している。ポリシー分析ツールおよび行動検知における進展にもかかわらず、特権の構造的モデリング、探索の確率的推定、および運用影響を制御した最適化された緩和メカニズムの間を正式に統合する方法論的空白が依然として存在する。 本研究では、重み付き有向特権グラフと、再始動付きランダムウォークによる確率解析に基づく、マルチクラウド環境におけるラテラルムーブメントの検出および封じ込めのための適応アーキテクチャを提案する。環境を、ID、リソース、引き受け可能なロール、および異なるプロバイダ間の連邦関係を統合する異種グラフとして形式化する。さらに、敵対者能力のクラスと、段階的侵害確率に関連するセキュリティゲームを定義する厳密な脅威モデルを定式化する。Random Walk with Restart (RWR) に基づくリスク推定アルゴリズムを導入し、計算量解析と収束に関する考察を付す。また、封じ込め問題を運用上の制約下における組合せ最適化として定式化し、リスクの限界寄与に基づく貪欲ヒューリスティックを提示する。 加えて、AWS、Azure、および Google Cloud の公式 API との統合、Neo4j を用いた大規模グラフの保存、ならびに CloudTrail、Azure Activity Logs、Cloud Audit Logs に対応するログ取り込み機構を含む実装上の実務的側面を詳述する。さらに、構造的検知を行動証拠で補完するための、YARA、Sigma、および Suricata シグネチャの例示ルールも提示する。実験評価は、検証不可能な数値的主張を避けつつ方法論的に厳密な形で論じ、ルールベース手法およびプロバイダのネイティブツールとの定性的な比較分析を強調する。 本研究の貢献は、(i) 統一されたマルチクラウド形式化、(ii) 攻撃パスの優先順位付けのための解釈可能な確率的手法、(iii) 運用影響の最小化を明示的に考慮したリスク指向の緩和機構、の3点である。さらに、制約、Zero Trust アーキテクチャへの実務的含意、およびポリシーの形式検証、ロバスト最適化、ならびに安全性保証を伴う強化学習を統合する将来研究のアジェンダについて論じる。
Read paper →Cloudタイトル: 確率モデリングと分散テレメトリに基づく、クラウドネイティブ環境における多段階攻撃の検知および適応的緩和のための形式的アーキテクチャ
タイトル: 確率モデリングと分散テレメトリに基づく、クラウドネイティブ環境における多段階攻撃の検知および適応的緩和のための形式的アーキテクチャ 要旨: クラウドネイティブインフラストラクチャの採用拡大は、極めて動的で弾力的かつ分散的な運用パラダイムを導入し、組織の攻撃対象領域を大幅に拡大している。認証情報の侵害、露出したAPIの悪用、Kubernetes環境におけるラテラルムーブメントを伴う最近のインシデントは、従来の検知メカニズムの構造的限界を示している。本研究では、ベイジアン確率モデリングと複数のプレーン（制御、データ、アイデンティティ）にまたがる分散テレメトリの相関に基づき、パブリックおよびハイブリッドクラウド環境における多段階攻撃の検知および適応的緩和のための形式的アーキテクチャを提案する。我々の方法論は、クラウドリソース間の依存関係グラフ、MITRE ATT&CK に基づく攻撃経路モデリング、および動的確率推論を統合し、リアルタイムで条件付きリスクを推定する。AWS および Kubernetes 上に機能するプロトタイプを実装し、CloudTrail ログ、VPC Flow Logs、eBPF、API Server 監査を含む 45 日間で 32 億件のイベントを収集した。本システムを 3 つのベースライン（ルールベースの SIEM、統計的 IDS、および独立した教師あり学習モデル）と比較評価した。結果は、誤検知率が 47.3% 低下し、ラテラルムーブメントの早期検知が 31.8% 向上し、25,000 イベント/秒の負荷下で推論の平均レイテンシが 280 ms 未満であることを示した。さらに、自動化された緩和により、封じ込めの平均時間は 42 分から 6.8 分へと短縮された。以上より、クラウド依存関係の形式的モデリングと文脈依存の確率推論の組み合わせは、精度と運用レジリエンスの両面で実質的な向上をもたらし、大規模なクラウドネイティブ環境における自律的な適応防御システムの基盤を確立することが示された。
Read paper →IAMタイトル: 継続的検証と動的ポリシーの数学的定式化を備えた、リスク指向の適応型Identity and Access Managementアーキテクチャ
タイトル: 継続的検証と動的ポリシーの数学的定式化を備えた、リスク指向の適応型Identity and Access Managementアーキテクチャ 要旨: Identity and Access Management (IAM) システムは、現代の企業環境、特にハイブリッドおよびマルチクラウド基盤におけるセキュリティの中核を成す。しかし、Role-Based Access Control (RBAC) に基づく従来モデルは、ラテラルムーブメント（MITRE ATT&CK T1078）、権限昇格の悪用（T1068）、および漏えいした資格情報の侵害（例: CVE-2023-23397）を含む現代の脅威に対して、構造的な限界を示す。本研究では、ABAC に基づくアクセス制御、文脈の継続的評価、およびリアルタイムの確率的リスクモデリングを統合した、ARIAM と呼ばれるリスク指向の適応型 IAM アーキテクチャを提案する。我々はこの問題を関数 f: U × R × C → {0,1} として定式化し、ここで U はユーザ、R はリソース、C は動的コンテキストを表し、ベイズ推論の逐次更新により推定されるリスク関数 ρ(u,r,c) を組み込む。我々の貢献は、(i) 適応的能力を持つ攻撃者の下でのセキュリティ特性に関する厳密な数学的モデル化、(ii) ポリシーの逐次評価のための計算量 O(log n) の決定アルゴリズム、(iii) 50,000 のアイデンティティと 120 万件の日次リクエストを含む環境で評価された、スケーラブルなプロトタイプ実装、の3点である。実験により、従来の RBAC ベースラインと比較して、シミュレートされた不正アクセスが 37.4% 減少し、権限悪用の平均検知時間が 42.1% 短縮されたことを示した。1リクエスト当たりの平均オーバーヘッドは 3.8 ms（σ = 0.6 ms）であり、95パーセンタイルにおける総レイテンシは 25 ms 未満に維持された。これらの結果は、リスク指向の適応的メカニズムが、運用上のスケーラビリティを損なうことなく、セキュリティを大幅に向上させることを示しており、NIST SP 800-207 で推奨される Zero Trust モデルに準拠した IAM アーキテクチャの進化に向けた実践的指針を確立する。
Read paper →IAMタイトル: 継続的なリスク分析と高度な脅威緩和のための数学的形式化を備えた適応型Identity and Access Managementアーキテクチャ
タイトル: 継続的なリスク分析と高度な脅威緩和のための数学的形式化を備えた適応型Identity and Access Managementアーキテクチャ 要旨: Identity and Access Management（IAM）システムは、分散型企業環境におけるセキュリティの中核を成し、ハイブリッドおよびマルチクラウド・インフラストラクチャにおいて認証、認可、ならびにアイデンティティ・ガバナンスを担う。しかし、近年のインシデントは、静的なアクセス制御と厳格なRBACポリシーに基づく従来手法が、高度持続的脅威、正当な認証情報の悪用、水平移動に対して不十分であることを示している。本研究では、A²-IAMと呼ぶ、継続的リスクを志向した適応型IAMアーキテクチャを提案する。これは、ポリシーの形式的モデリング、リアルタイムの確率的リスク評価、ならびに凸最適化に基づく意思決定メカニズムを統合する。認可問題を、アイデンティティ、リソース、コンテキスト、時刻に依存し、セキュリティおよびコンプライアンス制約を受ける決定関数 f(u, r, c, t) として形式化する。主に2つのアルゴリズムを導入する。(i) Risk-Adaptive Policy Evaluation（RAPE）および (ii) Dynamic Privilege Minimization（DPM）である。Keycloak、Open Policy Agent（OPA）、およびApache Kafkaベースのテレメトリ機構と統合した機能プロトタイプを実装した。50,000件の合成アイデンティティと120万件のアクセスイベントを用いた実験環境でシステムを評価し、従来のRBACおよび静的ABACと比較した。その結果、未承認の高リスクアクセスが37.4%減少し、権限濫用検知の平均時間が28.1%短縮され、ピーク時シナリオにおける計算オーバーヘッドは11%未満であった。提案手法は、スケーラビリティと規制コンプライアンスを維持しつつ、MITRE ATT&CKのT1078（Valid Accounts）およびT1021（Remote Services）といった技術に対するレジリエンスを有意に向上させることを示した。
Read paper →